signInエンドポイント経由でのSAT CFDI 3.3のSQLインジェクション

CVE-2018-25202 は、SAT CFDI 3.3 の 'signIn' エンドポイントにおける SQL インジェクション脆弱性により、重大なリスクをもたらします。この欠陥により、攻撃者は 'id' パラメータを介して悪意のある SQL コードを挿入し、データベースの機密性と整合性を損なう可能性があります。攻撃者は、ブール型、スタッククエリ、または時間ベースのブラインド SQL インジェクションなどのブラインド SQL インジェクション技術を使用して、ユーザーの認証情報、財務データ、データベースに保存されているその他の機密情報を抽出できます。利用可能な修正プログラムがないことは状況を悪化させ、システムを攻撃に脆弱にします。 攻撃が成功すると、データ損失、レコードの操作、およびシステムへの不正アクセスが発生する可能性があります。

Organizations utilizing SAT CFDI version 3.3, particularly those with sensitive data stored within the application's database, are at risk. Shared hosting environments where multiple users share the same SAT CFDI instance are also particularly vulnerable, as a compromise of one user's account could potentially lead to the compromise of the entire system.

• linux / server:

journalctl -u satcfdi -g "SQL injection"

• generic web:

curl -X POST -d "id='; DROP TABLE users;--" https://<satcfdi_server>/signIn | grep -i "error"

• database (mysql):

mysql -u <user> -p -e "SHOW GRANTS FOR '<user>'@'%'"

1. 2026-03-26Disclosure

   disclosure

1. 予約済み2026-03-26
2. 公開日2026-03-26
3. EPSS 更新日2026-04-02

CVE-2018-25202 の公式な修正プログラムがないため、SAT CFDI 3.3 を使用している組織は、緊急の緩和策を実施する必要があります。これらの対策には、ユーザー入力の厳格な検証とサニタイズ、特に 'signIn' エンドポイントの 'id' パラメータが含まれます。利用可能な場合は、SAT CFDI のパッチが適用されたバージョンにアップグレードすることを強くお勧めします。さらに、Web アプリケーションファイアウォール (WAF) を実装すると、SQL インジェクション攻撃をブロックするのに役立ちます。システムログを積極的に監視して、疑わしいアクティビティを検出し、潜在的な攻撃試行に対応することが重要です。定期的なセキュリティ監査とペネトレーションテストも、他の脆弱性を特定して対処するのに役立ちます。